НКЦКИ озаботился защитой пользователей от атак через веб-приложения

НКЦКИ озаботился защитой пользователей от атак через веб-приложения

НКЦКИ озаботился защитой пользователей от атак через веб-приложения

Ввиду роста количества атак в рунете Национальный координационный центр по компьютерным инцидентам (НКЦКИ) опубликовал рекомендации по повышению уровня защищенности веб-приложений и минимизации рисков для пользователей.

При проведении атак на пользователей веб-приложений злоумышленники зачастую используют зависимости в коде, обеспечивающие взаимодействие со страницами сайта на стороне клиента, — подключаемые JavaScript-библиотеки, фреймворки CSS, информационные, аналитические и защитные плагины, а также шрифты, подгружаемые со сторонних серверов. Подмена таких модулей позволяет авторам атак размещать на сайтах вредоносные скрипты, собирать конфиденциальные данные посредством фишинга, перенаправлять пользователей на потенциально опасные ресурсы.

Для повышения безопасности веб-приложений и предотвращения злонамеренного вмешательства в их работу НКЦКИ рекомендует (PDF) принять следующие меры:

  1. Предоставить законным пользователям возможность самостоятельно завершать сеансы работы в веб-приложении.
  2. Обеспечить гарантированное удаление идентификатора сессии по ее завершении на стороне клиента.
  3. Ввести обязательную аутентификацию для доступа к защищенным ресурсам веб-приложений и внесения изменений в профили пользователя.
  4. Обеспечить криптозащиту аутентификационных данных пользователей при хранении.
  5. Исключить хранение аутентификационных данных и информации о структуре каталогов на сервере в файлах, доступных по URL.
  6. Запретить использование заголовка REFERER в качестве основного механизма авторизации.
  7. Использовать параметризованные запросы к базам данных SQL, либо применить санацию пользовательского ввода.
  8. Использовать фильтрацию входного потока данных.
  9. Запретить использование HTML-тегов <img> и <table> в пользовательском вводе.
  10. Очистить сообщения об ошибках от такой информации, как данные о структуре файловой системы, фрагменты кода, подробности обращения к СУБД; ввести в обиход страницу-заглушку с кодом ошибки 200.
  11. Использовать надежные протоколы для аутентификации пользователей (Kerberos, TLS 1.2 и выше).
  12. Использовать POST-запросы для передачи аутентификационных данных на сервер.
  13. Исключить использование внешних сущностей, внешних параметров сущностей и внешних описаний типа документа при обработке данных в формате XML.
  14. Запретить кеширование конфиденциальных данных, вводимых в веб-формы, ограничить доступ к содержимому куки-файлов с помощью атрибутов HTTPOnly и secure.
  15. Обеспечить проверку корректности вводимых пользователем данных и на стороне клиента, и на стороне сервера.
  16. Включить в HTTP-заголовки сведения об используемой кодировке и запретить ее замену для всех источников входных данных.
  17. Ввести проверку благонадежности стороннего JavaScript-кода перед его использованием.
  18. Регулярно проверять хеш-суммы файлов JavaScript; при обнаружении изменений следует немедленно прекратить использование кода и повторно проверить функциональность.
  19. Отказаться от использования динамически формируемых JavaScript.
  20. Отдавать предпочтение загрузке внешних зависимостей из контролируемых источников.
  21. Разработать и поддерживать в актуальном состоянии планы реагирования на DDoS-атаки, утечки, дефейс сайта, несанкционированный доступ к интерфейсу управления.

Российским сайтам готовят штрафы до 700 тысяч за иностранную аутентификацию

Госдума окончательно одобрила законопроект, который вводит новые штрафы для владельцев сайтов и онлайн-сервисов. Под удар попадают площадки, которые продолжают использовать зарубежные способы аутентификации пользователей вместо предусмотренных российским законодательством механизмов. Документ принят сразу во втором и третьем чтениях.

Согласно новым нормам, сайты и сервисы должны обеспечивать аутентификацию пользователей через российский номер телефона, портал «Госуслуги», Единую биометрическую систему или другие российские информационные системы, принадлежащие гражданам или компаниям РФ.

Если ресурс продолжит использовать для входа иностранные сервисы или зарубежную электронную почту в качестве механизма аутентификации, владельцу может грозить серьёзный штраф. Для юридических лиц он составит от 500 до 700 тысяч рублей. Для должностных лиц предусмотрены штрафы от 30 до 50 тысяч рублей, для граждан — от 10 до 20 тысяч рублей.

Закон также усиливает ответственность для владельцев интернет-платформ с рекомендательными алгоритмами. Штрафы предусмотрены за сбор информации о предпочтениях пользователей с нарушением законодательства, отсутствие уведомлений о работе рекомендательных систем, а также за непубликацию правил их использования и контактных данных для юридически значимых обращений.

Размер санкций здесь такой же — до 700 тысяч рублей для юридических лиц. При повторном нарушении штрафы могут вырасти до 1,4 млн рублей.

Отдельный блок поправок касается операторов связи. Для них вводится ответственность за нарушение правил взаимодействия с правоохранительными органами во время оперативно-разыскных мероприятий и мероприятий по обеспечению безопасности.

Если оператор нарушит установленный порядок или раскроет методы проведения таких мероприятий, компании может грозить штраф от 3 до 5 млн рублей.

За повторные нарушения наказание станет ещё жёстче. В этом случае может применяться оборотный штраф в размере до 3% годовой выручки. При этом минимальный порог санкций повышается с 1 млн до 10 млн рублей.

RSS: Новости на портале Anti-Malware.ru